Revisión de hardening para bancos, aseguradoras y empresas en Honduras, El Salvador, Guatemala y Costa Rica

El alcance se arma por grupos de sistemas, no equipo por equipo. Dentro de cada grupo se revisa una muestra que represente las versiones y funciones reales, y los sistemas críticos entran completos. Si cien estaciones salen de la misma imagen, medir diez bien elegidas dice casi todo. Un controlador de dominio no se muestrea.

• Servidores Windows y Linux, empezando por los que sostienen el core, las bases de datos de clientes y los pagos.
• Active Directory: grupos privilegiados, cuentas de servicio, directivas de grupo y controladores de dominio.
• Entra ID, Microsoft 365 e Intune: roles, MFA, acceso condicional, autenticación heredada, correo, uso compartido y bitácoras.
• Estaciones de trabajo y portátiles, por imagen o por línea base de Intune.
• Firewalls, VPN y equipos de red, contra el benchmark del fabricante cuando existe.
• Consolas de virtualización y de respaldo, porque controlan muchos sistemas a la vez.

Primero se acuerda la referencia para cada plataforma. Para servidores y equipos de red suele ser el CIS Benchmark de esa versión, en su perfil de Nivel 1, y el Nivel 2 solo donde su política lo pida. Para Windows administrado con Intune o directivas de grupo puede ser la línea base de Microsoft. Microsoft aclara que sus líneas base y CIS no coinciden uno a uno, así que se elige una por grupo y se mide contra esa.

Después se toma la configuración real. Trabajamos con acceso de lectura o con exportaciones que genera su equipo: reportes de directivas, configuración de Entra ID y de Exchange Online, respaldos de configuración de los firewalls. No cambiamos nada en producción. La comparación automática da una primera lista. Cada diferencia que va al informe se confirma a mano, porque una herramienta no sabe si un servicio está encendido por una razón de negocio.

Por último se ordena. El orden no sale de contar desviaciones. Sale de cuánto acercan un sistema crítico a quien no debería llegar a él. Una cuenta de servicio con privilegios de dominio pesa más que cien ajustes menores en estaciones. Las excepciones que su institución ya aceptó por escrito se registran como tales y no se cuentan como hallazgo.

En El Salvador, la NRP-23 (Art. 11, literal i) pide controles de configuración segura que limiten servicios, protocolos, puertos y usuarios, y la NRP-32 (Art. 6) pide parches al día y no usar sistemas sin soporte del fabricante. En Guatemala, la JM-98-2025 (Art. 27, literal b) pide gestionar los cambios en las configuraciones de los activos en el ciberespacio. En Honduras, la Circular CNBS 025/2022 (Art. 19) pide gestionar la ciberseguridad con mejores prácticas y estándares internacionales. En Costa Rica, el Acuerdo CONASSIF 5-24 incluye la configuración segura entre los atributos de los controles de su declaración de aplicabilidad y pide programas anuales de pruebas que incluyan esos controles (Art. 33).

Ninguna obliga a una referencia en particular. Todas esperan que la entidad sepa cómo está configurada y lo pueda mostrar. El informe de la revisión le da esa evidencia, con la referencia usada, la fecha y el artículo de su norma junto a cada grupo de hallazgos. Su institución la presenta al auditor o al supervisor.

La revisión de hardening no tiene precio publicado. El precio se fija después de una llamada de alcance, con estos datos sobre la mesa. Una empresa con un dominio, un tenant y veinte servidores no se parece a un banco con agencias en todo el país.

Tener esto listo acorta la revisión en días. Casi todo lo prepara su equipo de TI o su integrador.

• Inventario de sistemas en alcance con versión, función y dueño.
• Política o estándar de configuración vigente, si existe, aunque esté desactualizado.
• Lista de excepciones ya aprobadas, con quien las aceptó.
• Cuenta de lectura en Active Directory y un rol de lectura global en Entra ID.
• Exportación de las directivas de grupo aplicadas a servidores y estaciones.
• Perfiles de configuración y líneas base asignados en Intune.
• Respaldos de configuración de firewalls y VPN.
• Contacto de TI disponible para preguntas durante la revisión.
• Nombre de la persona que recibirá el informe y de quien lo presentará al comité.

De la firma al informe pasan entre 2 y 6 semanas, según cuántos grupos de sistemas entren y qué tan rápido lleguen los accesos. El informe ejecutivo resume el estado por grupo, con el porcentaje de controles que coinciden con la referencia y los riesgos que el comité debe conocer. El informe técnico trae cada desviación confirmada con el sistema, el valor encontrado, el valor recomendado, la evidencia y la corrección sugerida, ordenadas por prioridad. Ambos los firma la persona que acordó el alcance y dirigió la revisión. Firmamos acuerdo de confidencialidad antes de recibir configuraciones.

La corrección la hace quien administra la plataforma, sea su equipo o su integrador. Recibe una lista concreta en lugar de un hallazgo genérico de auditoría, y puede corregir antes de que llegue el supervisor. Si quiere una segunda medición después de corregir, se acuerda en la llamada de alcance.

La revisión de hardening y el pentest interno responden preguntas distintas. La primera dice si la configuración coincide con la referencia. El segundo dice si, con esa configuración, alguien que parte de una cuenta de empleado llega a un sistema crítico. Muchas instituciones hacen la revisión primero, corrigen y después prueban.